如何在jwt中验证用户

Question

我有一个休息服务，它将来自用户的 cmets 存储在数据库中，我的架构是一个有角度的前端，它连接到一个负载平衡器服务器 (zuul)，它连接到一个身份验证服务器以生成 jwt。 使用 jwt 前端生成请求到与 jwt 相同的 zuul 服务器，这个 zuul 服务器验证 jwt，如果有效，将连接到另一个后端服务来存储评论。

存储评论的后端服务没有任何安全验证所有端点都可以访问，因为该微服务的路由不会暴露？这有什么风险吗？

由于没有 jwt 到达“评论后端服务”，我如何才能获得实际提出请求的用户？我是否应该在 zuul 服务器中实现某种过滤器以从 jwt 令牌中获取登录用户，并将信息包含在发送到“评论后端服务”的请求中？如果这是可能的，关于如何实现它的任何想法？

谢谢 问候

Answer 1

默认情况下，Zuul 将Authorization 标头视为敏感标头，不会向下游传递。所以你需要做的第一件事就是更新 Zuul 配置。阅读文档here。

之后，在你的每一个下游服务中，你需要添加从Authorization标头读取JWT令牌并提取用户名等相关信息的能力。